Abgleich mit Schwarzen Listen

Transkript

1 Abgleich mit Schwarzen Listen Das redaktionelle Vorwort des Jahrbuches Compliance 2006 weist nachdrücklich auf die Null-Toleranz-Politik der Vereinigten Staaten bei Non- Compliance hin, das heißt bei der mangelnden Einhaltung der gesetzlichen Vorschriften durch Finanzinstitute. Dafür gibt es viele Gründe. Die dynamische Entwicklung und die zunehmende Zahl der Gesetze und Vorschriften zwingen Banken, Versicherungen und andere Finanzdienstleister zu weitreichenden Kontrollmaßnahmen beim Datenqualitätsmanagement. Darunter fallen auch die Maßnahmen zum Aufspüren der Beteiligung an Geldwäscheaktionen, der Terrorismusfinanzierung und andere illegale Aktivitäten: das sogenannte Blacklist-Matching. Der Abgleich von Daten verschiedener schwarzer Listen, die von den staatlichen Behörden aufgestellt werden, mit den eigenen Kundendaten ist eine spezielle Disziplin, bei der Risikobewusstsein und intelligente Technologie eine wichtige Rolle spielen. Spezifisches Fachwissen Der Internationale Währungsfonds (IMF) schätzt, dass weltweit zwischen 2 und 5 Prozent der Wirtschaftsleistung aus illegalen Aktivitäten wie Waffenhandel, Betrug, Diebstahl und Drogenhandel bestehen. Das entspricht einem Betrag von zigmilliarden Euro. Eine beunruhigende Feststellung, die an sich schon ein strenges Vorgehen rechtfertigt. In der Praxis äußert sich dieses Vorgehen in zahlreichen schwarzen Listen wie beispielsweise den Terroristenlisten des Office of Foreign Assets Control des US-Finanzministeriums (OFAC) und der Europäischen Union (die EU-Liste). Der Abgleich mit diesen Listen verlangt spezifisches Fachwissen, und zwar aus mehreren Gründen:

2 Die Zahl der False Positives (Datensätze, bei denen eine falsche Übereinstimmung mit einem oder mehreren Datensätzen in der schwarzen Liste angezeigt wird) muss so weit wie möglich begrenzt werden. Dies ist nicht nur wichtig, um eine teure manuelle Nachbearbeitung so weit wie möglich zu vermeiden, sondern hat auch Auswirkungen auf die False Positives bei regelmäßig wiederkehrenden Kontrollen, z.b. bei Überweisungen. Auch nicht erkannte Übereinstimmungen (wobei potentiell Verdächtige in den eigenen Datenbeständen nicht gefunden werden) sind ein Problem. Sie resultieren schließlich in Non-Compliance. Letztendlich führt dies zu hohen Geldstrafen, ernster Rufschädigung oder sogar zu Haftstrafen. Die IT-Infrastruktur großer Finanzinstitute ist oft sehr komplex. Die verschiedenen Kundensysteme enthalten eine Vielzahl von Kunden (B2B und B2C), die nur schwer eindeutig zu identifizieren sind. Die schwarzen Listen und die Systeme der Finanzdienstler weisen große Unterschiede in den Datenformaten auf. Daneben unterscheiden sich die Datenformate auch noch innerhalb einzelner Listen. Die Daten in der schwarzen Liste sind oft sehr knapp oder lückenhaft. So findet man in diesen Listen kaum oder überhaupt keine Adressen. Ein erschwerender Faktor ist die Verwendung von Spitznamen. Daneben werden in manchen Fällen auch nicht-lateinische Zeichensätze (wie Arabisch, Kyrillisch oder Griechisch) verwendet. Da die schwarzen Listen regelmäßig aktualisiert werden und ständig neue Gesetze und Vorschriften hinzukommen, ist es notwendig, einen robusten und reproduzierbaren Prozess zu implementieren. Dabei müssen transparente und standardisierte Meldungen erzeugt werden. Die Daten-Informations Informations-Matrix Um Einblick in die Strukturen der Datenbestände einer Organisation und die Zusammenstellung einer spezifischen schwarzen Liste zu erhalten, müssen die Daten auf intelligente Weise analysiert werden.

3 Dabei müssen vor allem Muster, Füllungsgrad, Werte und Schlüssel erkannt und gemeldet werden. Gegebenenfalls ist zur Verarbeitung abweichender Zeichensätze eine Transliteration erforderlich. Anschließend werden die Ergebnisse in einer so genannten Daten- Informations-Matrix präsentiert. Diese Matrix wird zur Optimierung der Abgleichstrategie verwendet. Verarbeitung natürlicher Sprache Beim Abgleich mit schwarzen Listen ist neben den oben genannten Punkten auch zu beachten, dass die potentiell Verdächtigen in einer solchen Liste keinesfalls identifiziert werden wollen. Dies verlangt eine enorme Fehlertoleranz. Dazu eignet sich am besten ein Ansatz, der auf der Verarbeitung natürlicher Sprache basiert. Schließlich sind Menschen in der Lage, sprachliche und kulturelle Regeln schnell und exakt anzuwenden, um (vorsätzlich gemachte) Fehler zu entdecken und zu korrigieren: Der Name Grhobarht muss natürlich Grohbarth lauten. Die Matching-Software muss also die vorhandenen Datenelemente interpretieren und anschließend auf intelligente Weise miteinander vergleichen können. Dazu wird unter anderem Wissen über Abkürzungen, länder- und sprachspezifische Namenskonventionen, Prefixe, Zusammenziehung von Namen sowie über phonetische Unterschiede und Übereinstimmungen benötigt. Einige Beispiele: Vorname versus Prefix: Andrew Ben Johnson Abdel ben Bella Abkürzung des Vornamens und Zusammenziehung des Nachnamens: Moh. El Mussi Mohammed Elmussi Phonetische Übereinstimmung: Mohammat Benzakouri Varzin Mohamed Bensaquri Warsin Die intelligente Lösung

4 Neben der Verarbeitung natürlicher Sprache ist der Einsatz bewährter Vergleichsverfahren (wie beispielsweise des Trigramm-Vergleichs) eine absolute Notwendigkeit. Hiermit ist die Software in der Lage, die identifizierten Daten mit einem Wert zu versehen, der das Ausmaß der Übereinstimmung angibt. Diese Werte müssen anschließend gewichtet werden (das eine Datenelement hat in einem bestimmten Kontext einen höheren Erkennungswert als ein anderes Element), um so die zuverlässigsten Treffer zu erzeugen. Nur eine Lösung, in die solche Intelligenz integriert ist, führt zu den gewünschten Ergebnissen. Compliance: Einhaltung von Vorschriften Infolge gesellschaftlicher Phänomene wie Terrorismusbedrohung, Wirtschaftsskandale und steigende Betrugszahlen sind neue Gesetze entstanden, die Unternehmen einhalten müssen. Beispiele hierfür sind Sarbanes-Oxley, Basel II und Patriot Act. Zur Einhaltung dieser Vorschriften müssen wir genau wissen, wer unsere Geschäftspartner sind. Dabei sind qualitativ gute, integrierte Daten unverzichtbar. Beispiele von Anwendungen, die Human Inference in diesem Bereich entwickelt hat: o Bereits vor 20 Jahren hat Human Inference eine Anwendung entwickelt, mit deren Hilfe sich der Betrug von Haftpflicht-Versicherungen durch den Vergleich potentieller Versicherungsnehmer mit einer schwarzen Liste aufspüren lässt. Dabei wird eine fehlertolerante Identifikationstechnik eingesetzt. Dieses System (FISH), das auf dem Produkt HIquality Identify basiert, ist bis heute im Einsatz. o Für eine große Versicherung hat Human Inference eine Anwendung entwickelt, die Versicherte mit einer Liste (potentieller) Terroristen vergleicht, um Geschäftsverbindungen mit diesen Personen zu verhindern. o Eine Bank vergleicht mit Human Inference-Lösungen Daten direkt bei der Eingabe, standardisiert sie und verknüpft sie mit allen verfügbaren Informationen in- und externer Datenlieferanten, um so ein möglichst komplettes und

5 fehlerfreies Kundenbild zu zeichnen. Dadurch wird die Risikoeinschätzung optimiert. Stammdatenfundament für eine gute Unternehmensführung Stammdaten Daten über Kunden, Interessenten, Lieferanten, Produkte und Betriebsmittel (die Stammdaten oder Master Data ) bilden das Fundament jeden Unternehmens. Durch die integrierte und zentrale Verwaltung dieser Daten wird ein solides Fundament für echte Kundenkenntnis und effiziente Geschäftsprozesse gelegt. Gleichzeitig wird die reibungslose Erfüllung bestehender und zukünftiger Vorschriften eingehalten. Risiken durch Schuldner Welche Risiken stellen Schuldner dar? Viele kleine Schuldner mit jeweils eigener Kreditlinie können ein einziges Unternehmen oder eine einzige Person betreffen.

6 Im täglichen Geschäft gibt es drei verschiedene Risikoarten: Kredit-, Marktund Geschäftsrisiko. Jedes dieser Risiken beeinflusst Prozesse, Systeme, externe Elemente und Menschen. Nur wenn man weiß, wie Systeme zu integrieren (einheitliche Kundensicht) sind, können Unterschiede darin festgestellt und Prozessrisiken kontrolliert werden. Bei einer Bank, zum Bespiel, kommt es vor, dass verschiedene Kreditratings für einen Kunden bestehen, und das aufgrund eines Prozessrisikos. Dieses Prozessrisiko muss erkannt werden, will man eine einheitliche und eindeutige Kundensicht erhalten. Als Folge sämtlicher Skandale, die es rund um die Jahresberichterstattung und Bilanzierung von Unternehmen gegeben hat, sowie aufgrund der zunehmenden Aufmerksamkeit, welche die Finanzierung von kriminellen und terroristischen Aktivitäten, auf sich zieht, hat es eine Lawine von legislativen Maßnahmen gehagelt, die mehr und mehr Unternehmen und Organisation zwingt, ihre Risikomanagementprozesse und -politik zu verbessern. Die HIquality-Produktfamilie unterstützt Kreditinstitute und Unternehmen bei der Aufdeckung versteckter finanzieller Risiken, die sich hinter den verschiedenen Namen und Adressen von Kunden und Unternehmen verbergen. Zum Beispiel bei der Hirschmann Electronics Gruppe, die das Produkt HIquality Identify die Dubletten-Bereinigungslösung von Human Inference zur fehlertoleranten Suche in so genannten Persons Denied Lists (Embargolisten) einsetzt. Dadurch wird verhindert, dass die elektronischen Bauteile, die Hirschmann herstellt, in die falschen Hände gelangen. Auch bei anderen Unternehmen wird die Lösung so eingesetzt, dass finanzielle und non-compliance Risiken eingedämmt werden, so u.a. bei Barclays Industrie Leasing GmbH, Sparkassen Informatik AG und ADP Business Services (niederländischer Versicherungsmakler). Kasten: Kreditinstitute und Compliance

7 Ein Bankenvorstand muss nicht nur die Aktionäre zufrieden stellen, sondern auch staatliche Anforderungen erfüllen. Das Thema Compliance kommt hier intensiv zum tragen, wie z.b. der Sarbanes Oxley-Act, die Basel II Richtlinien, den USA Patriot Act und die neuen Accounting Standards wie IAS. Die Nachfrage nach Lösungen, die helfen, diese Industrie- und regulatorischen Anforderungen zu erfüllen, wird über die nächsten Jahre weiterhin ansteigen. Wenn Banken und andere Unternehmen in Lösungen investieren, um diese Richtlinien-, Prozess- und Systemanforderungen zur erfüllen, scheinen schlechte Datenqualität und unstrukturierte Daten Hindernisse großen Ausmaßes darzustellen. Zum Beispiel verlangen die Basel II Richtlinien, dass Kreditinstitute Daten für den Risikomanagementprozess herausfiltern können. Folglich müssen sie ihre Daten konsolidieren und Berichte generieren, die die Daten nach bestimmten Risikokriterien und Spezifikationen analysieren. Die erforderlichen Daten sind jedoch häufig in einer Reihe von nicht miteinander verbundenen unabhängigen Systeme gespeichert, oder sogar in anderen externen Datenquellen. Darüber hinaus muss das Kreditinstitut in der Lage sein, die Daten auf Basis von verschiedenen Begebenheiten und Geschehnissen zu analysieren. Dies macht es extrem schwer, eine eindeutige Version der Wahrheit zu erstellen. Die Regulatoren haben zwar eine Reihe von Anforderungen definiert, es ist jedoch die Aufgabe der Institute, diese Anforderungen in taktische und strategische Lösungen umzusetzen. Datenqualität ist ein Kernpunkt dieser Lösungen. Dr. Holger Wandt